Zfuzz

Zfuzz — AI で開発するすべての人にセキュリティを

質問するだけで、AI が推測ではなく実際のスキャナーで回答します。

開発中に、SQL インジェクション、漏えいした API キー、脆弱な依存関係を検出できます。セキュリティの知識は不要です。ツールを実行する必要も、ダッシュボードを確認する必要もありません。AI に話しかけるだけで、Zfuzz が実際の解析結果を提供します。

$0 · Apache-2.0 · アカウント不要 · API キー不要 · 100% ローカル · マシンの外にデータは送信されません

バイブコーダーから開発者まで、誰もが使えるように作られています。 Cursor、Claude Code、Codex、Gemini CLI、OpenCode など、いつも使っている AI ツールにそのまま接続できます。AI Studio、v0、Lovable などの Web ビルダーにも対応しています。

⚡ 10 秒で追加できます

ツールを選んで、1 行コピーするだけです。 セットアップウィザードもアカウントも、覚える設定も不要です。

Cursor — ワンクリック

ボタンをクリック → Cursor が開く → インストールを押します。これで 2 回クリックするだけです。

Claude Code

チャットに貼り付けて、Enter キーを押します。

claude mcp add zfuzz -- npx -y @zfuzz/mcp

VS Code (Copilot)

code --add-mcp '{"name":"zfuzz","command":"npx","args":["-y","@zfuzz/mcp"]}'

Codex

codex mcp add zfuzz npx -y @zfuzz/mcp

Gemini CLI

gemini mcp add zfuzz npx -y @zfuzz/mcp

Lovable · v0 · AI Studio — ブラウザーで利用、インストール不要

ツールの MCP / Integrations 設定を開き、この URL を貼り付けます。

https://api.zfuzz.com/mcp

{
  "mcpServers": {
    "zfuzz": { "command": "npx", "args": ["-y", "@zfuzz/mcp"] }
  }
}

{
  "mcp": {
    "zfuzz": { "type": "local", "command": ["npx", "-y", "@zfuzz/mcp"] }
  }
}

npx -y @zfuzz/mcp --transport http --port 8099

これで完了です。いつもどおり AI と会話を続けてください。コードのセキュリティチェックが必要になると、初回は AI が自動で Zfuzz を呼び出します。

エージェント対応表

主要な AI コーディングエージェントすべてに加え、MCP 対応クライアントならどれでも使えます。ローカルでは 1 行で設定でき、ブラウザーではホスト URL を使えます。どの環境でも同じ 10 個のツールを利用できます。

エージェントごとの設定を覚える必要はありません。それぞれのコピー＆ペースト用コマンドは、10 秒で追加に記載しています。

どのように使えるか

あなた： ログインページは安全ですか？

AI： [ファイルをスキャンしています] 2 件の問題が見つかりました：

1. SQL インジェクション（42 行目）— 誰でもデータベース全体を読み取れてしまいます。
2. レート制限なし（ログイン）— ボットがいつまでもパスワードを推測できます。 修正はこちらです… [パッチを作成しています]

あなた： コードにパスワードやキーを残していませんか？

AI： [プロジェクトをスキャンしています] はい — config.js に OpenAI キーがハードコードされています。このリポジトリを見られる人なら誰でも、あなたの費用でこのキーを使えてしまいます。環境変数に移しましょう — 方法はこちらです…

あなた： インストールしたパッケージは安全ですか？

AI： [依存関係を確認しています] 2 つに既知のセキュリティ上の欠陥があります。lodash を使うと、攻撃者がサーバー上でコードを実行できます。1 つのコマンドで両方を修正できます：npm update lodash axios。

コマンドを入力したり、スキャナーを開いたり、レポートを読んだりする必要はありません。質問するだけです。

動作を確認する

セキュリティを理解する必要はありません

• スキャナーを自分で実行する必要は一切ありません — 必要なときに AI が自動で実行します。
• ダッシュボードを読む必要は一切ありません — 回答はチャットにわかりやすい言葉で返ってきます。
• 支払いは一切不要で、何もコンピューターの外に送信されません — アカウントも、クラウドも、API キーも必要ありません。

1 行コピーして貼り付けるだけで、安心です。

内部の仕組み

AI が呼び出せる 10 個の実用的なツールがあります（適切なツールを AI が選ぶので、自分で選ぶ必要はありません）。

サブ秒で回答できるよう、Rust で構築されています。AI の頭脳にはエディターに搭載されたモデル（Claude/GPT）を使用します — Zfuzz が追加するのはセキュリティの力であり、新たなサブスクリプションではありません。

内容

スキャンで実際に返される内容

あなた： このスキルをインストールしても安全ですか？

AI： [scan_skillを実行]

Verdict: DO NOT INSTALL   (risk 100/100, 6 findings)
 CRIT  ZF-C001   Prompt Injection Pattern Detected         @ description
 MED   ZF-SK001  Overly Broad Skill Trigger                @ description
 HIGH  ZF-LP001  Wildcard Permission Grant (Bash(*), *)    @ allowed-tools
 CRIT  ZF-C002   Pipe-to-Shell Download-Exec (curl | bash) @ setup.sh
 HIGH  ZF-H001   Hardcoded Secret: AWS Access Key ID       @ setup.sh

このスキルは、説明に「以前のすべての指示を無視してください」という文言を隠し、すべてのツールへの権限を自らに付与しています。また、セットアップスクリプトはリモートのペイロードをそのままシェルにパイプしています。インストールしないでください。

すべての検出結果は、実際の決定論的スキャナーによるものです。スキャン処理にモデルの推測はありません。

Snyk や Semgrep ではなく、なぜこれを使うのですか？

使うべき場合 · 使わない場合

最適なケース…

• AI（Lovable、Cursor、v0、Bolt、Claude Code）を使ってアプリをバイブコーディングしていて、セキュリティを学ばずに、リリース前にチェックしたい。
• 漏えいしたキー、インジェクション可能なコード、リスクのある依存関係を、わかりやすい言葉でエディター内ですぐに検出したい。
• **MCP サーバーやエージェントスキルをインストールする 前に**検証したい。

使わない方がよいケース…

• すでに本格的なセキュリティチームとパイプラインを運用していて、エディター内で検出結果を見たくない。
• Node.js を使わず完全オフラインで作業している（スキャナーのバイナリは npx / @zfuzz/cli 経由で取得されます）。
• 監査ログと SSO を備えたホスト型ダッシュボードが必要。Zfuzz platformをご利用ください。無料の MCP ではありません。

更新

npx -y @zfuzz/mcp は常に公開済みの最新バージョンを解決するため、ほとんどの人は何もする必要がありません。

npm view @zfuzz/mcp version      # see the latest release
npm i -g @zfuzz/cli@latest       # only if you pinned the CLI globally

MCP の設定でバージョンを固定している場合は、バージョンを上げる（または固定を解除する）と、エージェントを再起動してください。

ドキュメント

無料 · オープン · ローカル

API キー不要。クラウドアカウント不要。テレメトリーなし。100%お使いのマシン上で動作し、コードが外部に送信されることはありません。Apache-2.0 ライセンスのオープンソースです。

コントリビューション

Issue と PR を歓迎します。開発環境のセットアップについてはCONTRIBUTING.mdをご覧ください。脆弱性を見つけた場合は、SECURITY.mdに従って報告してください。公開 Issue は作成しないでください。

コミュニティとサポート

• 質問／バグ — このリポジトリでIssue を作成してください。
• セキュリティ報告 — SECURITY.mdをご覧ください。
• プラットフォーム — zfuzz.com。

ライセンス

Apache-2.0 — 無料のオープンソースです。© Zfuzz

Zfuzzセキュリティプラットフォームの一部です。